Opsætning af SPF, DKIM og DMARC på Google Workspace
Google Workspace når længere ud af boksen end Microsoft — men "længere" er stadig hverken aligned DKIM eller nogen DMARC overhovedet. Et kvarter i Admin-konsollen og din DNS lukker hullet.
De tre records
SPF: v=spf1 include:_spf.google.com ~all — kun én record; publicerer noget andet allerede v=spf1, så flet — tilføj aldrig en ekstra. DKIM: Admin-konsol → Apps → Google Workspace → Gmail → Godkend e-mail → Generér ny record (vælg 2048-bit), publicér den viste TXT på google._domainkey.ditdomæne.dk, og klik "Start godkendelse". Indtil da signerer Google med en standardnøgle, der ikke aligner med dit domæne. DMARC: v=DMARC1; p=none; rua=mailto:rapporter@ditdomæne.dk på _dmarc.ditdomæne.dk, og følg derefter den trinvise vej til reject.
Hold de øvrige afsendere aligned
Workspace-delen er de lette 80 %. De sidste 20 % er hvert andet værktøj, der sender som dit domæne — nyhedsbreve, webshopmail, fakturasystemer. Hvert enkelt skal have sin egen DKIM-opsætning (typisk CNAME'er, værktøjet udleverer), så det signerer som DIT domæne, og sit include føjet til SPF, hvis det bruger dit kuvertdomæne. DMARC-rapporterne på din rua=-adresse opremser præcis, hvilke kilder der stadig fejler — det er to-do-listen.
Workspace-særligheder: Google håndterer bounces, så SPF-alignment normalt holder for Gmail-afsendt mail; grupper/videresendelse kan knække SPF, men DKIM overlever — derfor er DKIM-trinnet ikke valgfrit; og er du migreret fra en anden udbyder, så tjek for efterladte SPF-includes og gamle selectors, der bør tilbagekaldes. Verificér den færdige opsætning — record for record, selector for selector — med det gratis MonitorBase-tjek.
Gratis værktøjer, der hjælper
- DKIM Inspector: Find publicerede DKIM-nøgler på tværs af almindelige selectors og analysér nøglestyrke.
- DMARC Inspector: Fortolk og bedøm din DMARC-politik, rapporteringsadresser og alignment.